Die E-Mail-Sicherheitskrise, über die niemand sprechen will

Mal ganz ehrlich: Die meisten Unternehmen schützen ihre E-Mails miserabel. Unser Team bei UnblockMaster hat kürzlich über 5.800 Domains aus verschiedenen Branchen und Ländern unter die Lupe genommen. Die Ergebnisse sollten jeden beunruhigen, der sensible Informationen per E-Mail versendet oder empfängt.

Das Problem liegt nicht darin, dass E-Mail-Sicherheit besonders kompliziert wäre. Es ist schlicht so, dass viele Organisationen die grundlegenden Protokolle schlichtweg ignorieren – Protokolle, die ihre Nutzer vor Spoofing, Phishing und Man-in-the-Middle-Angriffen schützen könnten.

Die vier Säulen der E-Mail-Sicherheit

Bevor wir uns die Daten ansehen, klären wir erst, was wir eigentlich gemessen haben:

SPF (Sender Policy Framework) bildet die grundlegendste Schicht. Es teilt empfangenden Mailservern mit, welche IP-Adressen berechtigt sind, E-Mails im Namen der eigenen Domain zu versenden. Ohne SPF kann literally jeder E-Mails von der eigenen Domain fälschen.

DKIM (DomainKeys Identified Mail) hängt eine digitale Signatur an ausgehende E-Mails und bestätigt, dass diese unterwegs nicht manipuliert wurden. Man kann es sich wie ein manipulationssicheres Siegel auf einem Briefumschlag vorstellen.

DMARC (Domain-based Message Authentication, Reporting & Conformance) verbindet SPF und DKIM und weist empfangende Server an, wie sie mit E-Mails umgehen sollen, die die Authentifizierung nicht bestehen. DMARC ist der Türsteher der E-Mail-Sicherheit.

MTA-STS (Mail Transfer Agent Strict Transport Security) erzwingt verschlüsselte TLS-Verbindungen zwischen Mailservern und verhindert Abhörmaßnahmen sowie Downgrade-Angriffe.

Diese vier Protokolle ergänzen sich wie Zahnräder in einem Getriebe. Fehlt auch nur eines, entsteht eine Sicherheitslücke.

Die Branchen mit den größten Defiziten

Hier ist, was wir bei der Untersuchung nach Branchen gefunden haben:

Der Gesundheitssektor landete durchgehend unter den Schlusslichtern. Besonders bedenklich: Hier gelten strenge HIPAA-Vorschriften und besonders sensible medizinische Daten stehen auf dem Spiel. Wir haben festgestellt, dass ein erheblicher Teil der Healthcare-Domains überhaupt keine DMARC-Richtlinie besaß – theoretisch konnte also jeder diese Organisationen imitieren.

Finanzdienstleister schnitten etwas besser ab, wiesen aber trotzdem erschreckende Lücken auf. Viele kleinere Banken und Fintech-Unternehmen – obwohl sie sensible Kundendaten verarbeiten – hatten MTA-STS nicht implementiert. Damit blieben ihre E-Mail-Kommunikationen abfangbar.

Der Bildungsbereich überraschte mit schwachen Zahlen, vor allem bei kleineren Einrichtungen. Universitäten mit riesigen Nutzerzahlen und wertvollen Forschungsdaten mangelte es oft an grundlegender E-Mail-Authentifizierung.

Regierungsbehörden verschiedener Länder zeigten ein gemischtes Bild: Manche betrieben ausgefeilte Sicherheitstechnik, andere hatten praktisch gar nichts.

Einzelhandel und E-Commerce – trotz Millionen verarbeiteter Transaktionen – versagten häufig bei der korrekten Konfiguration ihrer E-Mail-Systeme. Bestellbestätigungen und Versandbenachrichtigungen ließen sich problemlos fälschen.

Länder mit der schlechtesten E-Mail-Sicherheit

Die geografische Aufschlüsselung offenbarte spannende Muster. Länder mit weniger entwickelter Cyber-Infrastruktur wiesen durchweg niedrigere Implementierungsraten auf.

Schwellenländer zeigten die alarmierendsten Statistiken. Viele Organisationen dort haben E-Mail-Sicherheit noch nicht als Priorität erkannt – sie konzentrieren sich auf sichtbarere Infrastrukturprobleme.

Kleine Inselstaaten und Entwicklungsländer wiesen überraschend niedrige Umsetzungsraten bei allen vier Protokollen auf.

Westliche Nationen und ostasiatische Länder mit starken Cybersecurity-Traditionen schnitten generell besser ab. Doch selbst hier fanden wir deutliche Lücken bei kleineren Organisationen.

Warum dich das betrifft

Die praktische Wahrheit: Sobald ein Unternehmen diese Protokolle nicht implementiert hat, bist du jedes Mal gefährdet, wenn du eine E-Mail von dort erhältst.

Ohne ordentliche E-Mail-Authentifizierung:

• Können Phisher deine Bank mit überzeugenden E-Mails nachahmen
• Können Angreifer Versandbenachrichtigungen fälschen, um Malware zu liefern
• Können sensible Geschäftskommunikationen abgefangen werden
• Kann die Domain deines Lieferanten für gezielte Angriffe auf dich missbraucht werden

Wir haben das ausgiebig getestet. Mithilfe von UnblockMaster VPN analysieren wir regelmäßig Netzwerkverkehrsmuster und sehen, wie leicht E-Mail-Verkehr ausgenutzt wird, wenn diese Protokolle fehlen.

So sieht gute E-Mail-Sicherheit aus

Basierend auf unserer Analyse umfasst eine ordnungsgemäße E-Mail-Sicherheitskonfiguration:

• SPF-Einträge, die korrekt nur autorisierte Mailserver auflisten
• DKIM-Signaturen, die auf allen ausgehenden Nachrichten implementiert sind
• DMARC-Richtlinien, die auf „reject" gesetzt sind oder mindestens auf „quarantine" (niemals auf „none")
• MTA-STS, aktiviert, um TLS-Verbindungen zu erzwingen
• TLS-Reporting, aktiviert, um Probleme zu überwachen

Ein korrekter DMARC-Eintrag sieht ungefähr so aus:

v=DMARC1; p=reject; rua=mailto:reports@example.com; pct=100

Damit werden empfangende Server angewiesen, alle E-Mails abzuweisen, die die Authentifizierung nicht bestehen, und dir Berichte über versuchte Fälschungen zu senden.

Was du jetzt tun kannst

Für Privatpersonen:

1. Nutze ein gutes VPN wie UnblockMaster, wenn du E-Mails über öffentliche Netzwerke abrufst – das bietet zusätzlichen Schutz, selbst wenn E-Mail-Anbieter keine ordentliche Sicherheit implementiert haben
2. Aktiviere Zwei-Faktor-Authentifizierung für deine E-Mail-Konten
3. Sei misstrauisch bei E-Mails, die nach sensiblen Informationen fragen – selbst von bekannten Kontakten
4. Prüfe auf Verschlüsselungsindikatoren in deinem E-Mail-Programm

Für Organisationen:

1. Prüfe deinen aktuellen E-Mail-Sicherheitsstatus mit Tools wie MXToolbox oder unserem empfohlenen Scanner
2. Implementiere alle vier Protokolle in der richtigen Reihenfolge
3. Beginne im Überwachungsmodus (p=none), bevor du zur Durchsetzung übergehst
4. Überwache deine DMARC-Berichte auf versuchte Fälschungen
5. Erfordere TLS für alle sensiblen E-Mail-Kommunikationen

Das Fazit

E-Mail bleibt der primäre Angriffsvektor für die meisten Cyberangriffe. Die Protokolle zu ihrer Absicherung existieren seit Jahren und sind frei verfügbar. Dennoch zeigt unsere Analyse, dass die Mehrheit der Organisationen sie nicht ordentlich implementiert hat.

Das ist kein technisches Problem mehr – es ist ein Problem der Prioritätensetzung. Solange Unternehmen, Regierungen und Institutionen E-Mail-Sicherheit nicht als essentielle Infrastruktur betrachten, sondern als optionalen Aufwand, werden wir weiterhin Datenschutzverletzungen, Phishing-Angriffe und E-Mail-basierte Betrügereien in epidemischem Ausmaß erleben.

Bei UnblockMaster sehen wir täglich die Nachwirkungen dieser Sicherheitsversäumnisse. Wir helfen Nutzern, sich mit verschlüsselten Verbindungen und sicherem Surfen zu schützen. Aber die eigentliche Lösung liegt darin, dass Organisationen die Grundlagen umsetzen.

Die Werkzeuge sind vorhanden. Das Wissen existiert. Fehlt nur noch der Wille, sie einzusetzen.

Tags: email security, spf, dmarc, dkim, mta-sts, cybersecurity, data protection, online privacy, vpn security